Selon OpenAI, jusqu’à 70 % des sites web du monde pourraient être menacés par une faille découverte dans PHP, un langage de programmation très répandu. Des chercheurs en cybersécurité qui utilisaient les modèles d’intelligence artificielle de l’entreprise ont identifié ce bug, qui pourrait permettre à des pirates de voler des données privées.
PHP est un langage open source largement utilisé, qui assure souvent le travail en coulisses des sites nécessitant une connexion d’utilisateurs ou la gestion de commandes en ligne. Après qu’OpenAI a indiqué que l’un de ses modèles avait trouvé deux failles « critiques » dans l’infrastructure du langage, la division cyber de la NSA a conseillé à tous les fournisseurs de sites utilisant PHP de mettre leurs systèmes hors ligne ou de mettre à jour leurs logiciels.
Greg Brockman, président d’OpenAI, a écrit sur X que des pirates pourraient exploiter cette vulnérabilité pour voler des données privées ou modifier des sites. Dans un billet de blog, l’entreprise juge : « Nous considérons qu’il s’agit de l’un des problèmes de sécurité les plus lourds de conséquences de ces dernières années. »
Une course contre la montre
OpenAI indique que les failles semblent avoir été identifiées avant que des attaquants ne les découvrent. Mais leur divulgation publique a lancé une course entre entreprises et gouvernements, qui doivent mettre à jour leurs sites et appliquer des correctifs avant que les pirates ne profitent des bogues. Dane Knecht, directeur technique de Cloudflare, a écrit sur X : « Nous voyons apparaître les premières attaques, et nous mettons à jour nos mesures d’atténuation à mesure que de nouveaux vecteurs apparaissent. »
La faille critique a d’abord été identifiée par Calif, une société de recherche en cybersécurité utilisant GPT-5.6 Sol. Wiz, une autre entreprise du secteur, a découvert ces problèmes de manière indépendante, selon OpenAI. Les deux sociétés font partie d’une initiative lancée par OpenAI, baptisée « Patch the Planet », qui vise à renforcer la sécurité de l’infrastructure numérique mondiale.
Plusieurs sites, notamment ceux de gouvernements et de médias, ont été mis hors ligne mercredi pour traiter le problème. OpenAI avertit par ailleurs que d’autres défaillances de sécurité apparaîtront à mesure que les chercheurs continueront de sonder les logiciels avec ses modèles de pointe. Un ingénieur de Microsoft a relevé que la vulnérabilité de PHP avait été découverte grâce à un modèle plus ancien.
Des appels urgents
Cet ingénieur, Nicolas Bustamante, a écrit sur X : « Je ne pense pas que le monde soit prêt pour le nombre de vulnérabilités que les modèles plus récents vont découvrir. » La divulgation publique de l’existence de ces failles, annoncée mercredi par OpenAI et d’autres acteurs, a déclenché des messages urgents de dirigeants du monde entier, dont celui de la responsable japonaise Sanae Takaichi. Sa demande est directe : « Nous avons une demande urgente à adresser à tout le monde : agir ce soir. »
